Una persona lascia l'azienda e i suoi accessi restano attivi
Account che sopravvivono a chi se ne va: sono porte aperte che nessuno sorveglia. L'uscita va preparata come l'ingresso.
Il problema
Un collega va in pensione, cambia lavoro o termina un contratto. Riconsegna il badge, ma il suo account di posta, l'accesso al gestionale, la VPN, il profilo sul portale del fornitore restano attivi per mesi. A volte anche le password condivise che conosceva. Nessuno lo fa apposta: semplicemente, nessuno ha la lista completa.
Come capire se ti riguarda
- Il personale (HR) non avvisa l'IT in modo sistematico delle uscite.
- Esistono account generici o condivisi usati da più persone.
- Servizi cloud e portali esterni non sono censiti.
- Non avete mai fatto una revisione degli account attivi.
Il primo passo
Confrontate l'elenco degli account attivi con quello del personale in forza. Ogni account senza una persona dietro è da chiudere o da spiegare.
Come risolverlo
- Collegate HR e IT. Ogni uscita genera una richiesta automatica di chiusura accessi, con data. *Chi: HR e IT. Evidenza: procedura di uscita.*
- Partite dall'inventario. Per ogni persona: account, sistemi, applicazioni cloud, dispositivi, token di autenticazione. Senza inventario, qualcosa si dimentica.
- Chiudete il giorno stesso. Disattivate gli accessi alla data di uscita, revocate sessioni e dispositivi di autenticazione, recuperate i dispositivi aziendali. *Evidenza: checklist firmata.*
- Cambiate le password condivise che la persona conosceva, comprese quelle di apparati e fornitori.
- Gestite la casella con attenzione. Seguite le indicazioni del Garante Privacy: in genere disattivazione e risposta automatica con un contatto alternativo, non la lettura della posta altrui.
Come evitare che si ripeta
Revisione degli accessi almeno due volte l'anno: ogni responsabile conferma chi del suo team deve accedere a cosa. Vale anche per chi cambia ruolo, non solo per chi esce.
Quando chiedere aiuto
Se avete molti sistemi e molte persone, uno strumento di gestione centralizzata delle identità rende la chiusura un'azione sola invece di venti.
Dal libro
«Un asset senza contesto è un oggetto tecnico.»
— *NIS2. La carta che guida*, capitolo 7
Uno spunto in più
Trattate l'uscita come l'ingresso: se l'onboarding ha una checklist, deve averla anche l'offboarding. E deve essere la stessa, letta al contrario.
Schede collegate
Abbiamo i backup ma non sappiamo se ripartiamo
Un backup non dimostra che ripartirete: servono priorità, ruoli e prove di ripristino registrate.
Abbiamo i documenti NIS2 ma restano nel cassetto
Politiche scritte per l'audit e mai lette: un documento utile non descrive il passato, indica la direzione. Ecco come farlo vivere.
Abbiamo i log ma nessuno li guarda
Firewall, server, posta registrano tutto, ma se nessuno legge, l'attaccante resta invisibile per settimane. Ecco come trasformare i log in occhi.